---

Politique de confidentialité

Éditeur : Direction Générale de l'Hygiène Publique	Contact : contact@dghp.gouv.ne
Référent protection des données : dpo@dghp.gouv.ne	Dernière mise à jour : 12 juillet 2026

1. Objet et champ d'application

La présente politique de confidentialité (« la Politique ») décrit comment la plateforme Plateforme Nationale de Gestion de données Biomédicaux · (« la Plateforme »), éditée par la Direction Générale de l'Hygiène Publique, Ministère de la Santé et de l'Hygiène PUBLIQUE, République du Niger, collecte, utilise, conserve, partage et protège les données à caractère personnel des personnes qui y accèdent ou dont les données y sont traitées : agents de santé, coordinateurs régionaux, administrateurs, et systèmes partenaires connectés via le module d'interopérabilité. Elle s'applique à l'ensemble des traitements réalisés dans le cadre du fonctionnement de la Plateforme, quel que soit le support (application web, API, exports).

2. Responsable du traitement

Le responsable du traitement des données à caractère personnel collectées par la Plateforme est :

• Direction Générale de l'Hygiène Publique, Ministère de la Santé et de l'Hygiène PUBLIQUE, République du Niger.
• Représentée par son Directeur Général, en sa qualité d'autorité d'attribution de la Plateforme.
• Contact du responsable du traitement : contact@dghp.gouv.ne.

3. Définitions

Au sens de la présente Politique, et par référence aux définitions usuelles des cadres internationaux de protection des données (notamment ISO/IEC 29100) :

• Donnée à caractère personnel : toute information se rapportant à une personne physique identifiée ou identifiable, directement ou indirectement.
• Traitement : toute opération ou ensemble d'opérations appliquées à des données à caractère personnel (collecte, enregistrement, conservation, modification, consultation, divulgation, suppression).
• Responsable du traitement : l'entité qui détermine les finalités et les moyens du traitement.
• Personne concernée : la personne physique dont les données à caractère personnel font l'objet d'un traitement.
• Violation de données : tout incident de sécurité entraînant, de manière accidentelle ou illicite, la destruction, la perte, l'altération, la divulgation non autorisée de données à caractère personnel ou l'accès non autorisé à de telles données.

4. Principes directeurs applicables

Conformément aux principes internationalement reconnus en matière de protection de la vie privée (cadre ISO/IEC 29100) et à la législation nigérienne relative à la protection des données à caractère personnel, le traitement des données par la Plateforme respecte :

• Licéité et légitimité des finalités - chaque traitement repose sur une base légale identifiée (section 6).
• Limitation de la collecte - seules les données nécessaires aux finalités déclarées sont collectées.
• Minimisation des données - la Plateforme ne collecte pas de données au-delà de ce qui est strictement nécessaire à son fonctionnement.
• Limitation de l'utilisation, de la conservation et de la divulgation - les données ne sont utilisées, conservées et communiquées que pour les finalités déclarées.
• Exactitude et qualité des données - les personnes concernées peuvent demander la correction de données inexactes (section 11).
• Transparence et notification - la présente Politique constitue l'information communiquée aux personnes concernées.
• Participation et accès individuel - les droits d'accès, de rectification et d'opposition sont garantis (section 11).
• Responsabilité (« accountability ») - le responsable du traitement répond de la conformité de ses traitements et documente ses mesures de protection.
• Sécurité de l'information - des mesures techniques et organisationnelles appropriées sont mises en œuvre (section 8).
• Conformité - la Plateforme fait l'objet d'un contrôle de conformité régulier à la présente Politique.

5. Données collectées

Dans le cadre de son fonctionnement, la Plateforme traite les catégories de données suivantes :

• Identité et contact : nom, prénom, adresse email professionnelle, numéro de téléphone.
• Données de connexion et d'authentification : mot de passe (jamais stocké en clair - haché selon l'algorithme bcrypt), code de vérification temporaire (OTP) envoyé par email lors de l'authentification à deux facteurs.
• Données techniques de session : adresse IP, type de navigateur (user-agent), horodatage de connexion, conservées à des fins de sécurité et de traçabilité.
• Données professionnelles : rôle attribué sur la Plateforme, région ou site de rattachement.
• Données d'activité : actions effectuées sur la Plateforme (créations, modifications, validations, connexions), enregistrées dans un journal d'audit non modifiable.
• Données opérationnelles : sessions d'incinération, incidents, rapports WASH - ces données concernent l'activité des sites et non directement des personnes, sauf lorsqu'un nom de responsable ou de contact y est associé.

6. Finalités et base légale du traitement

Les données collectées sont utilisées exclusivement pour les finalités suivantes, chacune reposant sur une base légale déterminée :

• Authentification et gestion des comptes utilisateurs - base légale : exécution d'une mission de service public.
• Traçabilité des actions (journal d'audit) - base légale : intérêt légitime du responsable du traitement à garantir la sécurité et l'imputabilité des opérations.
• Notifications nécessaires au fonctionnement du service - base légale : exécution du service demandé par l'utilisateur.
• Production de statistiques et d'indicateurs de santé publique - base légale : mission d'intérêt public en matière de santé et d'hygiène PUBLIQUE.
• Échange de données avec des systèmes partenaires autorisés - base légale : mission de service public et accord explicite formalisé entre les parties (convention d'interopérabilité).

7. Durée de conservation

Conformément au principe de limitation de la conservation :

• Les données de compte utilisateur sont conservées pendant toute la durée d'activité du compte, puis archivées ou supprimées selon la politique de désactivation en vigueur.
• Le journal d'audit est conservé sans limitation de durée, à des fins de sécurité, de conformité et d'imputabilité - il ne peut être ni modifié ni supprimé manuellement.
• Les codes de vérification temporaires (OTP) sont automatiquement supprimés après leur utilisation ou expiration.
• Les sauvegardes de la base de données sont conservées 30 jours de façon automatique, sauf archivage spécifique décidé par l'administration à des fins réglementaires ou statistiques.

8. Sécurité de l'information

Conformément aux bonnes pratiques du référentiel ISO/IEC 27001 en matière de management de la sécurité de l'information, la Plateforme met en œuvre les mesures techniques et organisationnelles suivantes :

• Chiffrement des mots de passe (bcrypt) - aucun mot de passe n'est jamais stocké ou affiché en clair.
• Authentification à deux facteurs (vérification par code envoyé par email) lors des connexions sensibles.
• Chiffrement des communications via HTTPS/TLS en production.
• Contrôle d'accès fondé sur les rôles (« Role-Based Access Control ») : chaque utilisateur n'accède qu'aux données correspondant à son périmètre (région, site) et à ses droits.
• Journalisation exhaustive des actions sensibles (connexions, modifications, accès API) dans un journal d'audit inaltérable.
• Accès aux données externes limité à des jetons d'API individuels, à portée définie (lecture/écriture) et révocables individuellement à tout moment.
• Sauvegardes régulières et procédures de restauration testées.

9. Partage et transferts de données

Les données ne sont partagées avec des tiers que dans les cas suivants, selon le principe de limitation de la divulgation :

• Avec des systèmes partenaires explicitement autorisés (ministère, structures partenaires nationales), via le module d'interopérabilité, encadrés par une convention et un jeton d'accès individuel, et uniquement pour les données opérationnelles validées (jamais les données de compte utilisateur).
• Avec les autorités compétentes de République du Niger, si la loi l'exige.

10. Violations de données (procédure de notification)

En cas de violation de données à caractère personnel susceptible d'engendrer un risque pour les droits et libertés des personnes concernées, le responsable du traitement s'engage à :

• Documenter la violation (nature, données concernées, mesures prises) dès sa détection.
• Notifier, le cas échéant, l'autorité de contrôle compétente dans les meilleurs délais.
• Informer les personnes concernées lorsque la violation est susceptible d'engendrer un risque élevé pour leurs droits et libertés.
• Mettre en œuvre les mesures correctives nécessaires pour limiter les conséquences de l'incident.

11. Droits des personnes concernées

Conformément aux principes de participation et d'accès individuel, toute personne disposant d'un compte sur la Plateforme, ou dont les données y sont traitées, dispose des droits suivants :

• Droit d'accès : obtenir la confirmation qu'une donnée la concernant est traitée, et en obtenir une copie.
• Droit de rectification : demander la correction d'une donnée inexacte ou incomplète.
• Droit à la limitation du traitement : demander la limitation du traitement de ses données dans certains cas prévus par la loi.
• Droit d'opposition : s'opposer, pour des motifs légitimes, à un traitement de ses données.
• Droit à l'effacement : demander la désactivation ou la suppression de son compte auprès de l'administrateur national, sous réserve des obligations légales de conservation (notamment le journal d'audit).
• Droit d'introduire une réclamation auprès de l'autorité de contrôle compétente (section 12).

12. Délégué à la protection des données et réclamations

Un point de contact dédié à la protection des données est désigné au sein de la Direction Générale de l'Hygiène Publique :

• Référent protection des données : dpo@dghp.gouv.ne.
• En cas de désaccord persistant, toute personne concernée peut introduire une réclamation auprès de l'autorité nationale compétente en matière de protection des données à caractère personnel : Haute Autorité de Protection des Données à Caractère Personnel (HAPDP).

13. Cookies

La Plateforme utilise uniquement un cookie de session technique, strictement nécessaire au maintien de la connexion de l'utilisateur pendant sa navigation. Ce cookie ne contient aucune donnée personnelle et expire automatiquement après déconnexion ou expiration de la session (8 heures d'inactivité par défaut). Aucun cookie de suivi publicitaire ou statistique tiers n'est utilisé.

14. Modifications de cette politique

Cette politique de confidentialité peut être mise à jour pour refléter l'évolution de la Plateforme, des référentiels normatifs applicables (ISO/IEC 27001, ISO/IEC 29100) ou de la réglementation nationale. La date de dernière mise à jour est indiquée en haut de cette page. En cas de modification substantielle, les utilisateurs en seront informés.

15. Contact

Pour toute question relative à la présente Politique ou à l'exercice de vos droits, vous pouvez contacter la Direction Générale de l'Hygiène Publique :

• Email général : contact@dghp.gouv.ne
• Référent protection des données : dpo@dghp.gouv.ne